stor säkerhetsfråga!

Tänkte fråga angående säkerhet på vissa delar av vårat system vi precis byggt.

Vi har funktioner som möjliggör att igenom ett administrationsgränssnitt skapa konton, ta bort konton, lägga till filer i okila kategorier med kommentarer till specifika konton, lägga upp nyhetsbrev till alla kunder och mycket mer.

Kontona som skapas, skapas med användarnamn och lösenord, med den informationen kan man logga in på sin konto sida. Vi undrar hur stor chansen är för 2 konton att se varrandras filer.

Detta är en del av konto sidan

//#####################################################
//Hämtar filnamnet som valdes vid inläggning av filen##
//#####################################################

	if ($_GET['Kategori'] == "Marketing"){
			
		$kat = 'marketing';
	}
	if ($_GET['Kategori'] == "Purchase"){
		
		$kat = 'purchase';
	}
	if ($_GET['Kategori'] == "Development"){
			
		$kat = 'development';
	}
	if ($_GET['Kategori'] == "Newsletter"){
		
		$kat = 'newsletter';
	}

	if ($_GET['Kategori']){	
		echo "<table align=\"center\">\n"; 
		echo "<td class=\"text3\"><strong>Files</strong></td>"; 
		echo "<td class=\"text3\"><strong>Comments</strong></td>";
		echo "<td class=\"text3\"><strong>Date</strong></td>"; 
		echo "</tr>"; 

		
	

$query2 = "SELECT id, Filename, Kommentar, Kategori, Date FROM $file_table WHERE RefID = 'all' && Kategori = '$kat' || RefID = '$refID' && Kategori = '$kat' ORDER BY 'Date' DESC, 'id' DESC";
$result2 = mysql_query($query2) or die('Query failed: ' . mysql_error());

while($resultRow = mysql_fetch_array($result2, MYSQL_ASSOC)) {
// För lite extra säkerhet så kollar vi att filen finns i verkligheten också
if(file_exists($uploadFolder."/".$resultRow['fileName']))
?>
<tr> 

<td class="text"><img src="setts/img/folder.gif" width="10" hight="10"> <a target="blank" href="<?php echo "download/$kat/".$resultRow['Filename']."" ?>  "> <?php echo $resultRow[Filename]?></a></td> 
<td class="text"><?php echo $resultRow[Kommentar]?></td> 
<td class="text"><?php echo $resultRow[Date]?></td>
</tr> 

<?
}
echo "<a href=\"konto.php?RefID='$refID'\">Home</a>\n"; 
}
ob_end_flush();
?>
</body>
</html>

Detta är delar utav filuppladdningen till specifik konto. naturligtvis finns det mer kod i denna funktion, där kollar vi filnamn,storlek,typ och mycket mer.

f (isset($_POST['komment'])) {
		if ($_POST['kategori'] && $line[user] != NEWSLETTER){
		
		$query3 = "INSERT INTO UserFiles (filename, RefID, Kommentar, Date) VALUES ('$thefile','$RefID','$komment3', $date)";
		mysql_query($query3) or die('Query failed query3: ' . mysql_error());
			
			$selected_radio = $_POST['kategori'];
			
				if($selected_radio == 'marketing'){
	
				if (is_uploaded_file($_FILES['uplfile']['tmp_name']) && move_uploaded_file($_FILES['uplfile']['tmp_name'],$upload_dir_mark.$thefile)) {
				
					echo"<br><strong><p class=\"warning\">Success!</strong><p>";
					echo "<br>Filen <strong>$thefile</strong> har nu laddats upp till användaren <strong>$line[user]</strong> <br> med kommentaren: <strong>$komment3 </strong>";

				}
				$query5 = "UPDATE UserFiles SET Kategori='marketing' WHERE Filename = '$thefile' ";
				mysql_query($query5) or die('Query failed query5: ' . mysql_error());
			}	
	
			
			if($selected_radio == 'purchase'){
	
				if (is_uploaded_file($_FILES['uplfile']['tmp_name']) && move_uploaded_file($_FILES['uplfile']['tmp_name'],$upload_dir_purc.$thefile)) {
				echo"<br><strong><p class=\"warning\">Success!</strong><p>";
					echo "<br>Filen <strong>$thefile</strong> har nu laddats upp till användaren <strong>$line[user]</strong> <br> med kommentaren: <strong>$komment3 </strong>";
				}
				$query5 = "UPDATE UserFiles SET Kategori='purchase' WHERE Filename = '$thefile' ";
				mysql_query($query5) or die('Query failed query5: ' . mysql_error());
			}	
	
			if($selected_radio == 'development'){
	
				if (is_uploaded_file($_FILES['uplfile']['tmp_name']) && move_uploaded_file($_FILES['uplfile']['tmp_name'],$upload_dir_deve.$thefile)) {
				echo"<br><strong><p class=\"warning\">Success!</strong><p>";
					echo "<br>Filen <strong>$thefile</strong> har nu laddats upp till användaren <strong>$line[user]</strong> <br> med kommentaren: <strong>$komment3 </strong>";
				}
				$query6 = "UPDATE UserFiles SET Kategori='development' WHERE Filename = '$thefile' ";
				mysql_query($query6) or die('Query failed query6: ' . mysql_error());
			}	
			
			

			}	
			

		if ($_POST['submit'] && $line[user] == NEWSLETTER){
					
				$query3 = "INSERT INTO UserFiles (filename, RefID, Kommentar, Date) VALUES ('$thefile','$RefID','$komment3', $date)";
				mysql_query($query3) or die('Query failed query3: ' . mysql_error());
						
								
						
				if (is_uploaded_file($_FILES['uplfile']['tmp_name']) && move_uploaded_file($_FILES['uplfile']['tmp_name'],$upload_dir_news.$thefile)) {
					echo"<br><strong><p class=\"warning\">Success!</strong><p>";
					echo "<br>Filen <strong>$thefile</strong> har nu laddats upp till  <strong>alla</strong> <br> med kommentaren: <strong>$komment3 </strong>";
					}
					$query7 = "UPDATE UserFiles SET Kategori='newsletter' WHERE Filename = '$thefile' ";
					mysql_query($query7) or die('Query failed query7: ' . mysql_error());
			
 					$query8 = "UPDATE UserFiles SET RefID='all' WHERE Filename = '$thefile' ";
 					mysql_query($query8) or die('Query failed query8: ' . mysql_error());
						
				}

		}
	if (!$_POST['kategori'] && $line[user] != NEWSLETTER){
		echo"<br><br><strong><p class=\"warning\">Du har inte valt någon kategori. Filen laddades INTE upp!</strong><p>";
	}
	} 

  ?>

Användarna läggs in genom att skriva in användarnamn, lösenord,lösenord,kontonamn. Alla dessa fält testas så att t ex innehåller rätt längd på lösenord, repetera lösenord mm. kontrollerar även case-sensetivity, magicqoates samt så används md5 vid lösenord inlägg. addslashes används också samt så sätts alla skapade användare som users i databasen medans admin har en annan benämning.

När en fil skickas till en specifik användare läggs filnamnet in i databasen, datum, kategori samt ett referens id som klargör till vilken användare den tillhör. När filer hämtas gämnförs det id't som finns under RefID i tablen UserFiles med kontona i tablen members där ID står. Innan uppladdning utav filerna väljs naturligtvis till vilken användare man ska ladda upp till, användarna hämtas ifrån members tablen.

Alla filer som laddas upp hamnar i /download/valdkategori, så alla kontofilerna ligger blandade med varrandra, men vad som visas för varje konto vid inlogging sker genom kontroll utav filnamn, refid(kontot) mm så att rätt filer ska visas.

Hur stor är sannolikehten att de inloggade på något sätt får tag på andras filer genom vårt system? Kanske s är informationen jag gett er inte är tillräcklig för att få en uppfattning.